BVwG W287 2257664-1

Spruch:

W287 2257664-1/12E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin MMag. Dr. Julia Kusznier als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerden des Erstbeschwerdeführers XXXX , der mj. Zweitbeschwerdeführerin XXXX , der mj. Drittbeschwerdeführerin XXXX und des mj. Viertbeschwerdeführers XXXX , alle vertreten durch STÖGERER-PREISINGER Rechtsanwälte OG, Mariahilfer Straße 76/2/23, 1070 Wien, gegen den Bescheid der Datenschutzbehörde vom 20.06.2022, Zl. XXXX , (mitbeteiligte Partei: XXXX ), wegen Verletzung im Recht auf Geheimhaltung in nichtöffentlicher Sitzung zu Recht erkannt:

A)

Die Beschwerde wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Der Erstbeschwerdeführer im gegenständlichen verwaltungsgerichtlichen Verfahren ist Justizwachebeamter. Die Zweit-, Dritt- und Viertbeschwerdeführer sind die minderjährigen Kinder des Erstbeschwerdeführers. Der Erstbeschwerdeführer wurde, gemeinsam mit anderen, bei einem Vorfall im Rahmen einer Überstellung des Insassen XXXX durch diesen verletzt und befand sich dann im Krankenstand. Seine Dienstgeberin, die „Republik Österreich“, vertreten durch das Bundesministerium für Justiz (BMJ), leistete während des Krankenstandes eine Entgeltfortzahlung. In weiterer Folge beauftragte die Dienstgeberin die XXXX , diese Entgeltfortzahlung als Privatbeteiligtenanspruch im Strafverfahren gegen XXXX als Schaden geltend zu machen. Im Zuge dieses Privatbeteiligtenanschlusses legte die XXXX (nun die mitbeteiligte Partei) der Staatsanwaltschaft das Lohnkonto des Erstbeschwerdeführers, die Unfallmeldung der BVAEB sowie eine Krankenstandsbestätigung vor. Später fanden sich diese Unterlagen, die personenbezogene Daten des Erstbeschwerdeführers sowie auch seiner minderjährigen Kinder (der weiteren Beschwerdeführer) beinhalteten, im Haftraum des XXXX wieder.

2. Am 13.02.2022 sowie am 09.03.2022 erhob der Erstbeschwerdeführer für sich und seine minderjährigen Kinder (die Zweit-, Dritt- und Viertbeschwerdeführer) Beschwerde gegen die mitbeteiligte Partei, das Landesgericht XXXX und Rechtsanwalt XXXX bei der Datenschutzbehörde und brachte vor, durch diese in seinem Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG sowie gemäß Art. 5, 6 und 9 DSGVO verletzt worden zu sein. Die mitbeteiligte Partei habe hochsensible und persönliche Daten sowie Unterlagen von ihm und seinen drei minderjährigen Kinder ungeschwärzt an die Staatsanwaltschaft XXXX weitergegeben. Die Unterlagen seien sodann von der Staatsanwaltschaft an den Richter und den Rechtsanwalt weitergegeben worden. Den Insassen der Justizanstalt XXXX seien diese Unterlagen schließlich auch zugänglich gemacht worden. XXXX habe dem Erstbeschwerdeführer gedroht, er werde ihm nach seiner Haftstrafe „alle Knochen brechen“.

3. Die mitbeteiligte Partei führte dazu zusammengefasst aus, dass die vorgelegten Unterlagen zur Begründung des erlittenen Schadens erforderlich gewesen und für das Privatbeteiligtenverfahren in Bezug auf die Regelungen zur Urkundenvorlage die Bestimmungen der ZPO, insbesondere § 298 ZPO, heranzuziehen gewesen seien. Mit Stellungnahme vom 07.06.2022 gaben die Beschwerdeführer dazu eine Replik ab, in welchen sie ausführten, die teilweise Unkenntlichmachung hätte bereits durch die mitbeteiligte Partei erfolgen müssen. Die gegenständlichen Daten seien für die Beurteilung des relevanten Sachverhalts durch das Gericht in keiner Weise von Bedeutung.

4. Mit dem angefochtenen Bescheid vom 20.06.2022 wies die belangte Behörde die Datenschutzbeschwerde der Beschwerdeführer als unbegründet ab. Gegen den im Spruch angeführten Bescheid erhoben die Beschwerdeführer fristgerecht Beschwerde.

5. Mit Schriftsatz vom 28.06.2022 legte die belangte Behörde die Beschwerde samt dem bezughabenden Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor.

6. Mit Schreiben vom 26.04.2023 übermittelte das Bundesverwaltungsgericht den Beschwerdeführern die Niederschrift der mündlichen Verhandlung im Parallelverfahren zu XXXX vom 17.03.2023 zur Stellungnahme.

7. Am 04.05.2023 langte der vom Landesgericht XXXX angeforderte Strafakt zu GZ XXXX ein.

8. Mit ergänzender Stellungnahme vom 15.05.2023, eingelangt am 16.05.2023, wiederholten die Beschwerdeführer, dass die erfolgte Datenverarbeitung überschießend und daher weder notwendig noch verhältnismäßig gewesen sei. Das Adhäsionsverfahren des Privatbeteiligtenverfahrens habe den Grundsätzen und Bestimmungen der StPO zu entsprechen und demnach auch dem Grundsatz der Verhältnismäßigkeit nach § 5 StPO und den Datenverarbeitungsgrundsätzen gemäß § 74 Abs. 2 StPO. Darüber hinaus gäbe es auch in § 305 ZPO die analoge Möglichkeit, dem Gericht die Vorlage eines gesamten Dokuments zu verweigern.

9. Mit Stellungnahme vom 17.05.2023, eingelangt beim BVwG am selben Tag, führte die mitbeteiligte Partei ergänzend aus, dass sich der Name, das Geburtsdatum, die Sozialversicherungsnummer, die Privatadresse, die Diagnose und die Telefonnummer des Erstbeschwerdeführers bereits vor dem Privatbeteiligtenanschluss der mitbeteiligten Partei im Akt der Staatsanwaltschaft befunden hätten, da diese Daten Teil der ursprünglichen Verletzungsanzeige gewesen seien. Ferner habe der Erstbeschwerdeführer selbst in seinem Privatbeteiligtenanschluss seine private Wohnanschrift angeführt und Vorbringen zu seinen Verletzungen erstattet. Die Vorlage der fraglichen Unterlagen sei zur Begründung des geltend gemachten Anspruchs sowie zur Berechnung des Lohnfortzahlungsschadens erforderlich gewesen.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Der Erstbeschwerdeführer ist Justizwachebeamter. Im Rahmen einer Überstellung des Insassen XXXX kam es am 28.03.2021 zu einem Einschreiten des Erstbeschwerdeführers sowie weiterer Justizwachebeamten, wobei der Erstbeschwerdeführer verletzt wurde und vom 30.03.2021 bis 11.04.2021 im Krankenstand war. In dieser Zeit wurde ihm sein Gehalt durch seine Dienstgeberin, die „Republik Österreich“ (Bundesministerium für Justiz, „BMJ“), fortbezahlt.

1.2. Die Zweit-, Dritt- und Viertbeschwerdeführer sind die minderjährigen Kinder des Erstbeschwerdeführers.

1.3. Das BMJ beauftragte die mitbeteiligte Partei mit der Geltendmachung des Schadens, den das BMJ aus der Entgeltfortzahlung für den Erstbeschwerdeführer während seines Krankenstandes erlitten hatte. Dementsprechend schloss sich die mitbeteiligte Partei für die „Republik Österreich“ (BMJ) mit Schriftsatz vom 26.04.2021 dem Strafverfahren gegen XXXX zur (staatsanwaltschaftlichen) GZ XXXX als Privatbeteiligte an und legte zur Begründung des Anspruchs das Lohnkonto des Erstbeschwerdeführers, die Unfallmeldung der BVAEB sowie eine Krankenstandsbestätigung betreffend den Erstbeschwerdeführer bei.

1.4. Aus diesen Unterlagen ergeben sich die folgenden personenbezogenen Daten der Beschwerdeführer, die der Staatsanwaltschaft mit dem Privatbeteiligtenanschluss übermittelt wurden:

Personenbezogene Daten des Erstbeschwerdeführers:

Name, Geburtsdatum, Privatadresse, Handynummer und Familienstand des Erstbeschwerdeführers, Kinder des Erstbeschwerdeführers, verletzungsbedingte Krankenstandstage, Aufzählung der Verletzungen, Behandlungsangaben, Personalnummer, Dienstgrad, Eintrittsdatum in die Justiz, Sozialversicherungsnummer, Bezüge und Zulagen.

Personenbezogene Daten der weiteren Beschwerdeführer:

Name, Geburtsdatum, Sozialversicherungsnummer

Die Beilagen zum Privatbeteiligtenanschluss wurden am 21.05.2021 von der Staatsanwaltschaft mit dem Ermittlungsakt an den zuständigen Haft- und Rechtsschutzrichter für die Festnahmeanordnung und Verhängung der Untersuchungshaft über XXXX übermittelt. Am 06.06.2021 wurden die genannten Beilagen zum Privatbeteiligtenanschluss im Haftraum des XXXX in der Justizanstalt XXXX gefunden.

1.5. Am 14.06.2021 brachte die Staatsanwaltschaft den Strafantrag in Bezug auf XXXX beim Straflandesgericht ein.

1.6. Am 08.04.2021 übermittelte die Justizanstalt XXXX an die Staatsanwaltschaft XXXX eine Strafanzeige wegen des Vorfalles mit XXXX und legte dieser die Verletzungsanzeige der XXXX betreffend den Erstbeschwerdeführer vom 28.03.2021 bei. Dieser Verletzungsanzeige sind der Name des Erstbeschwerdeführers, seine Privatadresse, sein Geburtsdatum, die Sozialversicherungsnummer, die Handynummer sowie Daten zur Anamnese zu entnehmen. Den im Zuge der Verletzungsanzeige vorgelegten Dokumenten sind keine Daten der Zweit-, Dritt- und Viertbeschwerdeführer zu entnehmen.

1.7. Der Erstbeschwerdeführer brachte selbst am 26.05.2021 einen Privatbeteiligtenanschluss zur (staatsanwaltschaftlichen) GZ XXXX ein, den er mit Schriftsatz vom 22.06.2021 präzisierte, wobei er seine Wohnadresse zunächst nicht schwärzte (PB-Anschlusserklärung vom 26.05.2021). Zur Begründung des beantragten Schmerzengeldes legte der Erstbeschwerdeführer dabei die Bestätigung der Justizanstalt XXXX vom 11.05.2021 (zum Verdienstentgang), die Verletzungsanzeige des behandelnden Arztes vom 29.03.2021, einen augenärztlichen Befundbericht vom 15.04.2021 sowie die Ambulanzprotokolle/ärztlichen Berichte der XXXX vom 28.03., 29.03. und 30.03.2021 vor. Aus den vom Erstbeschwerdeführer vorgelegten Unterlagen gehen die folgenden Daten hervor: der Name des Erstbeschwerdeführers, eine Aufzählung der Verletzungen sowie Behandlungsangaben. In der Verletzungsanzeige vom 29.03.2021 schwärzte der Erstbeschwerdeführer das Geburtsdatum sowie die Adresse. In den Ambulanzprotokollen wurden ebenfalls kleine Teile geschwärzt (ua die Adresse des Erstbeschwerdeführers), wobei nicht durchgehend ersichtlich ist, um welche Daten es sich dabei gehandelt hat. Der Erstbeschwerdeführer legte keine Dokumente, die Daten der weiteren Beschwerdeführer enthalten, im Rahmen des Privatbeteiligtenanschlusses vor.

1.8. Am 26.05.2021 übermittelte das Bezirkspolizeikommando XXXX der Staatsanwaltschaft XXXX das Einvernahmeprotokoll des Erstbeschwerdeführers als Zeugen durch die Landespolizeidirektion XXXX vom 19.05.2021. Dieses wurde zum Akt genommen und enthielt folgende personenbezogene Daten des Erstbeschwerdeführers: Name, Geschlecht, Geburtsdatum, Geburtsort, Staatsangehörigkeit, Wohnadresse, Telefonnummer.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und aus dem beigeschafften Akt des Landesgerichts XXXX zur GZ XXXX , und sind nicht weiter strittig.

3. Rechtliche Beurteilung:

Zu A) I.

3.1. Die Beschwerdeführer bringen zusammengefasst vor, durch die Übermittlung ihrer personenbezogenen Daten durch die mitbeteiligte Partei an die Staatsanwaltschaft im Rahmen des Privatbeteiligtenanschlusses des BMJ in ihrem Grundrecht auf Geheimhaltung nach § 1 DSG sowie in ihren Rechten nach Art. 5, 6 und 9 DSGVO verletzt worden zu sein.

Die mitbeteiligte Partei vertritt die Ansicht, dass sie zur Begründung ihres Anspruchs als Privatbeteiligte im Strafverfahren gegen XXXX insbesondere aufgrund zivilprozessrechtlicher Regelungen verpflichtet gewesen sei, die monierten Unterlagen, nämlich das Lohnkonto des Erstbeschwerdeführers, die Unfallmeldung der BVAEB sowie die Krankenstandsbestätigungen, gänzlich, ohne Schwärzungen, beizulegen. Außerdem hätten sich einige Daten des Erstbeschwerdeführers bereits im Akt der Staatsanwaltschaft befunden, bevor der Privatbeteiligtenanschluss durch die mitbeteiligte Partei erfolgt sei.

Die Datenschutzbehörde wies die Beschwerde der Beschwerdeführer insbesondere unter Heranziehung ihrer Rechtsprechung zu ihrer – beschränkten - Zuständigkeit zur Beurteilung der Zulässigkeit der Datenverarbeitung im Verwaltungsverfahren ab.

3.2. Der Beschwerde der Beschwerdeführer gegen den Bescheid der DSB vom 20.06.2022 kann aus den folgenden Gründen nicht stattgegeben werden:

3.2.1. Rechtsgrundlagen:

§ 1 Abs. 1 und 2 Datenschutzgesetz (DSG):

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Art. 5, 6 und 9 Datenschutzgrundverordnung (DSGVO) - tlw Auszüge:

Artikel 5 - Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6 - Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: […]

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. […]

Artikel 9 - Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen: […]

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich, […]

3.2.2. Demzufolge muss die Verarbeitung personenbezogener Daten die Grundsätze des Art. 5 DSGVO sowie einen Rechtsmäßigkeitstatbestand des Art. 6 DSGVO erfüllen. Die Verarbeitung besonderer Kategorien von Daten, zu denen ausdrücklich auch Gesundheitsdaten gehören, ist grundsätzlich untersagt; sie darf nur in den von der Verordnung in Absatz 2 des Art. 9 DSGVO vorgesehenen Ausnahmefällen erfolgen, zu denen auch die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, soweit dafür erforderlich, gehört (siehe Art 9 Abs. 2 lit. f DSGVO).

Das dogmatische Verhältnis zwischen Art. 9 und den allgemeinen Erlaubnistatbeständen der DSGVO nach Art. 6 ist nicht abschließend geklärt. Einerseits wird Art. 9 als lex specialis angesehen und ein Rückgriff auf die allgemeineren Erlaubnistatbestände ausgeschlossen, andererseits wird vertreten, dass Art. 9 neben den allgemeinen Regeln Geltung beanspruche bzw. diese überlagere (Kampert in Sydow/Marsch DS-GVO/BDSG, Artikel 9 DS-GVO Rz 62 mwN). Für letztgenannte Auffassung spricht, dass in Erwägungsgrund 51 hinsichtlich der Verarbeitung besonderer Kategorien personenbezogener Daten explizit angeführt wird, dass „zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten sollten.“ Darauf basierend vertritt auch Jahnel (Kommentar zur Datenschutz-Grundverordnung (DSGVO) Art 9 Rz 4), dass bei der Verarbeitung sensibler Daten stets eine doppelte bzw. implizite Prüfung von Art. 9 Abs. 2 und Art. 6 Abs. 1 zu erfolgen hat (anderer Auffassung insbesondere Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO, Rz 5). Diese Ansicht findet auch in einigen Aussagen des OGH in seinem Urteil vom 24.07.2019, 6 Ob 45/19i, sowie in den Schlussanträgen des Generalanwalts in der Rechtssache C-667/21 vom 25.05.2023 Deckung, sodass dem nach Auffassung des BVwG zu folgen ist.

3.2.3. Auf den gegenständlichen Sachverhalt bezogen bedeutet dies:

Personenbezogene Daten, Verarbeitung:

Bei den Daten des Erstbeschwerdeführers, nämlich Name, Geburtsdatum, Privatadresse, Handynummer und Familienstand des Erstbeschwerdeführers, Angaben zu den Kindern des Erstbeschwerdeführers, verletzungsbedingte Krankenstandstage, Aufzählung der Verletzungen, Behandlungsangaben, Personalnummer, Dienstgrad, Eintrittsdatum in die Justiz, Sozialversicherungsnummer, Bezüge und Zulagen, handelt es sich zweifellos um personenbezogene Daten des Erstbeschwerdeführers iSd Art 4 Z 1 DSGVO. Selbiges gilt für die Daten der weiteren Beschwerdeführer, nämlich Name, Geburtsdatum und Sozialversicherungsnummer der Zweit-, Dritt- und Viertbeschwerdeführer. Die oben unterstrichenen Daten sind Gesundheitsdaten und gehören demnach zur besonderen Kategorie von personenbezogenen Daten iSd Art. 9 DSGVO.

Durch die Übermittlung der Unterlagen (und zwar: das Lohnkonto des Erstbeschwerdeführers, die Unfallmeldung der BVAEB sowie die Krankenstandsbestätigung), die die oben genannten Daten beinhalteten, an die Staatsanwaltschaft im Zuge des Privatbeteiligtenanschlusses nahm die mitbeteiligte Partei auch eine Verarbeitung iSd Art. 4 Z 2 DSGVO vor.

Erlaubnistatbestände:

Als Grund für eine Rechtmäßigkeit der erfolgten Verarbeitung durch die mitbeteiligte Partei kann die Bestimmung des Art. 6 Abs. 1 Buchst. f DSGVO – wenn die Verarbeitung zur Wahrung der berechtigten Interessen des:der Verantwortlichen oder eines:einer Dritten erforderlich ist (worunter auch die Durchsetzung von Rechtsansprüchen fallen kann, vgl. Heberlein in Ehmann/Selmayr, DS-GVO2, K 26 zu Art. 6) – herangezogen werden, sofern die Interessen und Grundrechte der betroffenen Person nicht überwiegen. Sofern es sich um Gesundheitsdaten handelt, ist zudem die Bestimmung des Art. 9 Abs. 2 lit. f DSGVO – wenn die Verarbeitung zur Geltendmachung von Rechtsansprüchen erforderlich ist – einschlägig.

Zu Art. 9 Abs. 2 lit. f DSGVO lässt sich der Literatur entnehmen, dass dieser Erlaubnistatbestand für sensible Daten einen Sonderfall des allgemeinen Erlaubnistatbestands des berechtigten Interesses darstellt (Art. 6 Abs. 1 lit. f DSGVO, so auch OGH 24.07.2019, 6 Ob 245/19i); Art. 9 Abs. 2 lit. f DSGVO kann daher insofern auch für nicht-sensible Daten herangezogen werden. Dadurch wird dem Recht des:der Einzelnen auf die effektive Rechtsdurchsetzung Vorrang vor den Interessen der betroffenen Personen am Schutz ihrer Daten eingeräumt (Schiff in Ehmann/Selmayr, DS-GVO2, K 47f zu Art. 9). Durch diese Regelung soll vermieden werden, dass ein Rechtsanspruch vor Gerichten nicht geltend gemacht werden kann und damit letztlich nicht durchsetzbar ist, weil dies ohne die Verarbeitung (insbesondere die Offenlegung im Verfahren) sensibler Daten einer anderen Person nicht möglich ist (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO, Rz 45). Da bei streitigen Ansprüchen die Erforderlichkeit bestimmter Informationen unklar sein kann, sind insofern keine überzogenen Ansprüche zu stellen (Weichert in Kühling/Buchner, DS-GVO/BDSG3 Rz 86 zu Art. 9). Schiff führt zur Erforderlichkeit weiter aus, dass nicht jeder Tatsachenvortrag, der sensible Daten einer betroffenen Person beinhaltet, alleine deshalb gegen Art. 9 verstößt, weil dieser Vortrag vom Gericht als unerheblich bewertet wird. Erst bei einer willkürlichen, bewussten Offenlegung von sensiblen Daten, die mit dem Streitstoff in keinerlei Verbindung mehr stehen, ist der Tatbestand der Ausnahmeklausel nicht mehr gegeben (Schiff in Ehmann/Selmayr, DS-GVO2, K 49 zu Art. 9; so auch Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO, Rz 45, mit Verweis auf OGH, 14.07.2019, 6 Ob 45/19i). Zu weit würde es allerdings gehen, präventiv sensible Daten zur Abwehr möglicherweise in Zukunft geltend gemachter Ansprüche zu speichern (siehe Schiff in Ehmann/Selmayr, DS-GVO2, K 49 zu Art. 9) oder in einem gerichtlichen Verfahren um ein Arztentgelt Gesundheitsdaten einzuführen, obwohl der Anspruchsgrund unstreitig ist und es nur um die Verjährung geht (Weichert in Kühling/Buchner, DS-GVO/BDSG3 Rz 86 zu Art. 9).

Auch aus dem aktuellen Urteil des EuGH vom 02.03.2023, Norra Stockholm Bygg AB, C-268/21, ECLI:EU:C:2023:145, ergibt sich dazu keine andere Sicht: In diesem Urteil, bei dem es um die Frage der datenschutzrechtlichen Einordnung eines Antrags auf Vorlage eines Personalverzeichnisses im Rahmen eines Zivilrechtsverfahrens geht, betont der Gerichtshof den hohen Rang, den das Recht auf ein faires Verfahren in einer demokratischen Gesellschaft einnimmt, sowie die Möglichkeit der Rechtssuchenden, ihre Anliegen vor Gericht zu verteidigen, und das Prinzip von „Waffengleichheit“ unter den Parteien (siehe Rz 52). In weiterer Folge wird den Gerichten die Pflicht auferlegt, die Interessen der betroffenen Person, deren Daten durch die Vorlage verarbeitet werden, mit den Erfordernissen eines fairen gerichtlichen Verfahrens unter Berücksichtigung der Grundsätze der Verhältnismäßigkeit und Datenminimierung abzuwägen.

Zur „Erforderlichkeit“ im gegenständlichen Fall:

Wenn nun demnach an die „Erforderlichkeit“ einer Datenverarbeitung im Kontext einer Geltendmachung eines Rechtsanspruches keine zu strengen Anforderungen gestellt werden dürfen, um die Durchsetzung von Rechtsansprüchen nicht zu verunmöglichen, kann die Vorlage der gegenständlichen Unterlagen, nämlich des Lohnkontos des Erstbeschwerdeführers, der Unfallmeldung und der Krankenstandsbestätigung, in einer ex ante-Betrachtung aus Sicht der mitbeteiligten Partei als erforderlich angesehen werden, um einerseits den Krankenstand des Erstbeschwerdeführers sowie die Entgeltfortzahlung durch das BMJ zu dokumentieren und andererseits einen Bezug des Krankenstandes und des Schadens aus der Entgeltfortzahlung zu XXXX herzustellen. Die Erforderlichkeit ist somit iSd Art. 9 Abs. 2 lit. f DSGVO für die besondere Kategorie von Daten gegeben und damit aber auch, im Größenschluss, für jene Daten, die nicht in diese Kategorie und damit unter den Erlaubnistatbestand des Art. 6 Abs.1 lit. f DSGVO fallen.

Die Unfallmeldung und die Krankenstandsbestätigung dienen dem Nachweis des Krankenstandes, der Dauer des Krankenstandes, des Sachverhalts rund um den Unfall sowie des Grundes für den Krankenstand (die erlittenen Verletzungen). Das Lohnkonto ermöglicht die Feststellung der Dienstnehmereigenschaft sowie den Nachweis über den tatsächlich erlittenen Schaden (Zusammensetzung der Entgeltfortzahlung; Entgelt, Zulagen, Sonderzahlungen (ggf aliquot)).

Demzufolge stellt sich die Vorlage der genannten Unterlagen mit dem Privatbeteiligtenanschluss als erforderlich dar, und zwar jedenfalls konkret betreffend die folgenden Daten: Name des Erstbeschwerdeführers, verletzungsbedingte Krankenstandstage, Aufzählung der Verletzungen, Behandlungsangaben, Informationen zum Bezug und Zulagen. Diese soeben genannten Daten sind geeignet, das Vorbringen eines Krankenstandes sowie die geleisteten Entgeltfortzahlungen in Bezug auf den Erstbeschwerdeführer zu belegen.

Insbesondere zu den gerade genannten Gesundheitsdaten (Verletzungsaufzählung, Behandlungsangaben) wird außerdem darauf verwiesen, dass der Erstbeschwerdeführer in seinem eigenen Privatbeteiligtenanschluss diese mit der Verletzungsanzeige vom 29.03.2021 und mit den Ambulanzprotokollen/ärztlichen Berichten der XXXX vom 28.03., 29.03. und 30.03.2021 selbst ins Strafverfahren gegen XXXX einbrachte, weshalb davon ausgegangen werden muss, dass er die Übermittlung dieser Daten auch als erforderlich für die Geltendmachung von Ersatzansprüchen im Strafverfahren erachtete.

Die weiteren monierten Daten, wie Geburtsdatum, Privatanschrift, Handynummer, Familienstand, Personalnummer und Dienstgrad, Eintrittsdatum in die Justiz, die Sozialversicherungsnummer sowie Name, Geburtsdatum und Sozialversicherungsnummer der Kinder des Erstbeschwerdeführers, sind solche, die auf den vorgelegten Unterlagen, wie Lohnkonto, Unfallmeldung und Krankenstandsbestätigung, bereits vorhanden waren, also nicht extra oder separat vorgelegt wurden, sondern Teil der zur Begründung des Anspruchs herangezogenen Dokumente waren.

Nach Ansicht des erkennenden Senats sind auch diese personenbezogenen Daten des Erstbeschwerdeführers vom Konzept der Erforderlichkeit der Erlaubnistatbestände umfasst, das, wie bereits dargestellt, aus einer ex ante-Sicht und weit auszulegen ist.

Die Privatanschrift des Erstbeschwerdeführers befand sich auch auf der Verletzungsanzeige, die durch die JA XXXX mit der Strafanzeige vorgelegt wurde. Diese Verletzungsanzeige beinhaltete darüber hinaus auch die Handynummer, das Geburtsdatum und die Sozialversicherungsnummer des Erstbeschwerdeführers, die demnach bereits durch die Vorlage durch die Justizanstalt selbst im Akt der Staatsanwaltschaft vorhanden waren.

In Bezug auf das Lohnkonto, aus dem sich wieder der Name, die Adresse, das Geburtsdatum, die Sozialversicherungsnummer und darüber hinaus die Personalnummer, der Dienstgrad, das Eintrittsdatum in die Justiz sowie Informationen zu Bezügen und Zulagen sowie Name, Geburtsdatum und Sozialversicherungsnummer der Kinder des Erstbeschwerdeführers herauslesen lassen, kann der erkennende Senat nachvollziehen, dass dessen Vorlage aus Sicht der mitbeteiligten Partei zur Vertretung der Interessen ihrer Mandantin und aus prozessualer Vorsicht erforderlich gewesen ist.

In diesem Zusammenhang ist das Argument der mitbeteiligten Partei, das diese im Rahmen ihrer schriftlichen Stellungnahme vom 17.05.2023 vorbrachte, dass die detaillierten Angaben zum Entgelt, inklusive Zulagen, Zuschüsse und Sonderzahlungen, für die Berechnung des Schadens aus der Lohnfortzahlung und zum Nachweis der Höhe notwendig waren, schlüssig und nachvollziehbar.

Die mitbeteiligte Partei brachte außerdem weiter vor, nach der ZPO, die aufgrund des Fehlens eigener zivilprozessrechtlicher Regelungen im Adhäsionsverfahren zur Privatbeteiligung im Strafprozess heranzuziehen sei, zur Vorlage von unveränderten und vollständigen Urkunden gemäß § 298 ZPO verpflichtet zu sein. Selbst wenn eine solche Verpflichtung aus § 298 ZPO für das gegenständliche Verfahren nicht abzuleiten sein sollte, kann der erkennende Senat nachvollziehen, dass sich eine Parteienvertretung ex ante auch aus Gründen der advokatorischen Vorsicht und aus der Verantwortung ihrer Mandantschaft gegenüber für die Vorlage von Dokumenten in unveränderter Art und Weise entscheidet. Im Lichte der Beweiswürdigungsregelung des § 296 ZPO, wonach das Gericht nach § 272 ZPO (Grundsatz der freien Beweiswürdigung) zu beurteilen hat, ob und in welchem Maße Durchstreichungen, Radierungen und andere Auslöschungen, Einschaltungen oder sonstige äußere Mängel einer (öffentlichen oder privaten) Urkunde deren Beweiskraft mindern oder dieselbe ganz aufheben, kann es aus Sicht einer Partei oder ihrer Vertretung jedenfalls zur bestmöglichen Vertretung ihrer Interessen und ihrer Ansprüche erforderlich sein, einem Gericht unveränderte, ungeschwärzte Unterlagen zur Untermauerung ihrer Ansprüche vorzulegen, um die Beweiswürdigung im bestmöglichen Sinn für ihre Angelegenheit zu ermöglichen.

Demnach wird nicht nur die Vorlage des Lohnkontos in Bezug auf den Erstbeschwerdeführer, der Unfallmeldung und der Krankenstandsbestätigung zur Begründung des Anspruchs als Privatbeteiligte im Strafverfahren gegen XXXX als erforderlich angesehen, sondern auch der Verzicht, Daten wie das Geburtsdatum, die Privatanschrift, die Handynummer, den Familienstand, die Personalnummer und den Dienstgrad, das Eintrittsdatum in die Justiz, die Sozialversicherungsnummer, die teilweise außerdem selbst durch den Erstbeschwerdeführer oder im Rahmen der Strafanzeige Eingang in den Akt der Staatsanwaltschaft gefunden haben, sowie die Daten der Kinder des Erstbeschwerdeführers in den genannten Unterlagen zu schwärzen. In Lichte des vorher Gesagten kann eben nicht davon ausgegangen werden, dass die mitbeteiligte Partei willkürlich und bewusst personenbezogene Daten der Beschwerdeführer offengelegt haben soll, die gar nichts mit dem Streitgegenstand zu tun gehabt hätten.

Zur Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO:

Da das erkennende Gericht der Ansicht ist, dass die Vorlage des Lohnkontos, der Unfallmeldung und der Krankenstandsbestätigung zur Geltendmachung des Entgeltfortzahlungsanspruches der Dienstgeberin des Erstbeschwerdeführers erforderlich im Sinne des Art. 9 Abs. 2 lit. f DSGVO war, ist das Interesse der mitbeteiligten Partei gegen die Geheimhaltungsinteressen der Beschwerdeführer abzuwägen (Art. 6 Abs. 1 lit f DSGVO).

Wie oben dargelegt, besteht einerseits ein Interesse der mitbeteiligten Partei, die Interessen ihrer Mandantin, des BMJ, bestmöglich wahrzunehmen und aus advokatorischer Vorsicht ungeschwärzte Unterlagen vorzulegen, andererseits ein Interesse der „Republik Österreich“ (des BMJ) als Dienstgeberin des Erstbeschwerdeführers, die geleistete Entgeltfortzahlung als Privatbeteiligtenanspruch im Strafverfahren geltend zu machen. Demgegenüber besteht ein Interesse der Beschwerdeführer, dass ihre personenbezogenen Daten nicht dritten Personen zugänglich gemacht werden, wobei zu berücksichtigen ist, dass die mitbeteiligte Partei nicht davon ausgehen konnte und musste, dass die an die Staatsanwaltschaft übermittelten personenbezogenen Daten über eine Akteneinsicht bei Gericht an XXXX gelangen würden. Zudem ist bei der Abwägung der Interessen zugunsten der mitbeteiligten Partei zu berücksichtigen, dass die vor dem Hintergrund einer potenziellen Bedrohung der Beschwerdeführer durch XXXX primär relevanten Daten, wie Name, Geburtsdatum, Wohnadresse und Telefonnummer, bereits vor Einbringung des Privatbeteiligtenanschlusses durch die mitbeteiligte Partei im Akt einerseits aufgrund der Strafanzeige durch die Justizanstalt XXXX (Name des Erstbeschwerdeführers, Adresse, Geburtsdatum, Telefonnummer), andererseits aufgrund des vom Erstbeschwerdeführer selbst eingebrachten Privatbeteiligtenanschlusses (Wohnadresse) im Strafakt ersichtlich waren.

Umstände, aufgrund derer das Geheimhaltungsinteresse der Beschwerdeführer gegenüber dem Interesse der mitbeteiligten Partei an der umfassenden Vertretung der Interessen ihrer Mandantin bzw. gegenüber dem Interesse des BMJ an der Geltendmachung der Entgeltfortzahlung als Privatbeteiligtenanspruch überwiegen würde, liegen daher insgesamt nicht vor. Daran vermag auch die Tatsache, dass es sich bei den weiteren Beschwerdeführern um die minderjährigen Kinder des Erstbeschwerdeführers handelt, nichts zu ändern, zumal durch die Offenlegung allein des Namens, des Geburtsdatums und der Sozialversicherungsnummer noch keine Daten an Dritte gelangt sind, die per se eine unmittelbare Bedrohung durch XXXX ermöglichen würden. Diese kann vielmehr erst durch die Offenlegung der Wohnadresse und allenfalls der Telefonnummer erfolgen, wobei diese Daten bereits vor Einbringung des Privatbeteiligtenanschlusses durch die mitbeteiligte Partei im staatsanwaltschaftlichen Akt vorhanden waren und insbesondere die Wohnadresse vom Erstbeschwerdeführer selbst zunächst ungeschwärzt offengelegt wurde.

Es wird gegenständlich nicht übersehen, dass die letztendlichen Geschehnisse, nämlich das Auftauchen der Unterlagen mit all den bereits genannten personenbezogenen Daten der Beschwerdeführer im Haftraum eines Insassen, der den Erstbeschwerdeführer nicht nur verletzte, sondern mit dem dieser außerdem zu arbeiten hat, sehr unangenehme Folgen für den Erstbeschwerdeführer hat. Diese Geschehnisse sind allerdings auf eine Akteneinsicht der Vertretung des XXXX bei Gericht zurückzuführen. In Bezug auf eine diesbezügliche Datenschutzverletzung durch die Gerichtsbarkeit steht den Beschwerdeführern in weiterer Folge der Rechtschutz nach §§ 85a Abs. 2 und 85 GOG offen.

Die gegenständliche Datenverarbeitung durch die mitbeteiligte Partei, nämlich die Vorlage des ungeschwärzten Lohnkontos des Erstbeschwerdeführers, der ungeschwärzten Unfallmeldung und der beiden ungeschwärzten Krankenstandsbestätigungen, erweist sich im Ergebnis als gerechtfertigt, weil sie für die Rechtsverfolgung iSd Art. 9 Abs. 2 lit. f DSVO, sowie damit auch iSd des Art 6 Abs. 1 lit. f DSGVO, erforderlich war und keine überwiegenden Interessen der betroffenen Personen festgestellt werden konnten.

Zum Entfall der mündlichen Verhandlung:

Der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt wurde bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben und weist im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit auf. In der Beschwerde wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw darüberhinausgehender relevanter Sachverhalt behauptet (VwGH am 24.02.2015, Ra 2014/19/0171). Ferner wurde die Niederschrift der mündlichen Verhandlung im Parallelverfahren zu XXXX vom 17.03.2023 den Parteien zur Stellungnahme übermittelt. Da im Verfahren lediglich Rechtsfragen zu klären waren, konnte gemäß § 24 Abs. 4 VwGVG auf die Durchführung einer mündlichen Verhandlung verzichtet werden (VwGH 19.09.2017, Ra 2017/01/0276).

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil es zur Frage der Auslegung des Begriffs der „Erforderlichkeit“ in Art. 9 Abs. 2 lit. f DSGVO und zum Zusammenspiel dieser Bestimmung mit Art. 6 Abs.1 lit. f DSGVO und § 1 Abs. 1 DSG noch keine Rechtsprechung des Verwaltungsgerichtshofs gibt.

Es war daher spruchgemäß zu entscheiden.